Como configurar DMARC: registro e relatórios

O que precisa estar pronto antes de configurar DMARC?

O DMARC não autentica nada sozinho. Ele lê os resultados do SPF e do DKIM e faz mais uma pergunta: o domínio que passou bate com o domínio do cabeçalho From visível? A especificação do DMARC chama essa correspondência de "alinhamento". Uma mensagem passa no DMARC se o SPF passar e estiver alinhado, ou se o DKIM passar e estiver alinhado. Não precisa dos dois.

Por isso a ordem importa. Antes de publicar um registro DMARC, confira duas coisas para cada serviço que envia em nome do seu domínio. Primeiro, um registro SPF que inclua esse serviço, tudo dentro de um único registro v=spf1 combinado. Segundo, uma assinatura DKIM cujo domínio d= seja o seu domínio ou um subdomínio dele. Se você está montando a cadeia inteira, vale entender como DKIM, DMARC e SPF funcionam juntos no cold email: a ordem de configuração e os registros de que um setup típico com Workspace e Brevo precisa.

Onde isso não funciona: um serviço de envio pode passar no SPF com o próprio domínio de bounce sem que esse domínio bata com o seu. O SPF passa, mas não está alinhado. Nesse caso, o DMARC depende totalmente do DKIM assinado com o seu domínio. Se o serviço assinar com o domínio dele, o DMARC falha, mesmo com as duas verificações mostrando "pass".

Como configurar DMARC passo a passo

1. 1 Faça o inventário dos remetentes. Liste todo sistema que envia e-mail com o seu domínio no From: seu provedor de caixa postal, sua conta de envio de prospecção, seu CRM, faturamento, central de suporte. O que ficar de fora vai aparecer depois como falha.
2. 2 Confirme SPF e DKIM por remetente. Envie uma mensagem de teste para uma caixa que você controla. Abra os cabeçalhos originais e encontre a linha Authentication-Results. Você quer ver spf=pass ou dkim=pass, com o domínio exibido batendo com o domínio do seu From.
3. 3 Crie o registro TXT. No seu provedor de DNS, adicione um registro TXT no host _dmarc (que resolve para _dmarc.seudominio.com) com o valor v=DMARC1; p=none; rua=mailto:dmarc@seudominio.com. É o registro inicial que a visão geral de IA do Google para essa busca também mostra.
4. 4 Verifique se ele resolve. Rode dig TXT _dmarc.seudominio.com +short ou use uma ferramenta web de consulta DMARC. Você deve ver exatamente uma string começando com v=DMARC1.
5. 5 Colete os relatórios. Os servidores receptores que suportam DMARC enviam relatórios agregados em XML para o endereço rua. Leia esses relatórios até toda fonte legítima aparecer com passes alinhados.
6. 6 Endureça a política. Troque p=none por p=quarantine, acompanhe os relatórios e passe para p=reject quando nada legítimo estiver falhando.

O passo 3 é onde acontece a maioria dos erros de DNS. Muitos painéis de DNS acrescentam o seu domínio ao campo de host automaticamente. Se você digitar o nome completo _dmarc.seudominio.com, pode acabar com _dmarc.seudominio.com.seudominio.com, e os receptores nunca encontram o registro.

Qual deve ser o meu registro DMARC?

Para um domínio que nunca teve DMARC, comece em modo de monitoramento: v=DMARC1; p=none; rua=mailto:dmarc@seudominio.com. Isso diz aos receptores para entregar normalmente e enviar relatórios para você. As tags abaixo vêm da especificação do DMARC. Tudo, exceto v e p, é opcional.

Tag	O que controla	Valor inicial típico
v	Versão. Precisa ser a primeira tag, exatamente DMARC1.	v=DMARC1
p	Política para e-mails que falham no DMARC no domínio organizacional: none, quarantine ou reject.	p=none
sp	Política para subdomínios. Se omitida, os subdomínios herdam p.	Omitir no início
rua	Para onde vão os relatórios agregados (resumos em XML), como URI mailto:.	rua=mailto:dmarc@seudominio.com
ruf	Para onde vão os relatórios de falha (forenses). Muitos grandes receptores não enviam esses relatórios.	Opcional
adkim	Modo de alinhamento do DKIM: r (relaxed, subdomínios batem) ou s (strict, correspondência exata).	Manter o padrão relaxed
aspf	Modo de alinhamento do SPF: r ou s, mesmo significado de adkim.	Manter o padrão relaxed
pct	Percentual dos e-mails com falha aos quais a política se aplica, usado para aplicação gradual.	Omitir com p=none

O alinhamento strict (adkim=s ou aspf=s) pega muita gente de surpresa. Se a sua ferramenta de prospecção assina o DKIM com um subdomínio como mail.seudominio.com enquanto o From diz seudominio.com, o modo relaxed passa e o modo strict falha. Só mude para strict se tiver certeza de que todo assinante usa exatamente o domínio do From.

Como adicionar DMARC na Network Solutions ou em qualquer outro host de DNS

O registro é o mesmo em qualquer host de DNS, seja Network Solutions, GoDaddy, Cloudflare ou o painel do seu próprio registrador. Adicione um registro do tipo TXT. Coloque _dmarc no campo host ou nome e a sua string v=DMARC1 no campo valor. O que muda é como cada painel trata o campo host, então verifique se ele quer só o rótulo _dmarc ou o nome completo. Depois de salvar, consulte _dmarc.seudominio.com de fora, e não na pré-visualização do próprio painel.

Há uma segunda armadilha. Se os nameservers do seu domínio apontam para outro lugar que não o registrador, por exemplo para a Cloudflare ou para uma empresa de hospedagem, os registros que você adiciona no painel do registrador não entram no ar. Você precisa editar o DNS onde os registros NS apontam. O mesmo desencontro de nameservers acontece com a chave DKIM de quem envia pelo Brevo com domínio na GoDaddy.

DMARC no Google Workspace

Em um domínio do Google Workspace, você publica o DMARC no mesmo lugar de qualquer outro registro: no seu host de DNS, não no Admin Console. O próprio artigo de ajuda do Google sobre configurar DMARC (knowledge.workspace.google.com) lista SPF e DKIM como pré-requisitos. O DKIM do Workspace só assina depois que você gera a chave, publica o registro TXT google._domainkey e ativa a autenticação no Admin Console. Até lá, o e-mail do Workspace pode passar no SPF, mas não leva nenhuma assinatura DKIM alinhada.

Se você também envia pelo Brevo a partir do mesmo domínio, o Brevo precisa do próprio registro DKIM ao lado do registro do Google. As duas assinaturas podem se alinhar com o mesmo domínio do From, e um único registro DMARC cobre as duas. Na prática, isso significa publicar o registro DMARC uma vez, sair de p=none com calma e não esquecer a ativação da chave DKIM do Workspace, que muita gente pula.

Como ver registros e relatórios DMARC

"Ver o DMARC" pode significar duas coisas: conferir o registro publicado ou ler os relatórios que os receptores enviam de volta. Cada uma pede um tipo diferente de ferramenta. A tabela compara as opções realistas pelas mesmas duas perguntas: o que mostra e onde para.

Opção	O que mostra	Onde para
dig ou nslookup (linha de comando)	A string TXT bruta em _dmarc, direto do DNS. Mostra duplicatas e erros de digitação.	Só lê o registro. Sem relatórios, sem explicação das tags.
Consulta DMARC do MXToolbox (web)	O registro publicado com as tags interpretadas. O MXToolbox está entre as fontes que a visão geral de IA do Google cita para essa busca.	Uma verificação do registro. Os relatórios agregados continuam chegando em XML na sua caixa rua.
Cabeçalhos da mensagem no Gmail ou no Outlook (Mostrar original / Exibir código-fonte)	A linha Authentication-Results de uma mensagem: dmarc=pass ou fail, mais os domínios de SPF e DKIM.	Uma mensagem por vez. Não mostra e-mails que outras pessoas enviaram se passando por você.
Serviços de relatórios DMARC como Sendmarc, dmarcly ou PowerDMARC	Relatórios agregados reunidos por fonte de envio. A página de ranking da Sendmarc, por exemplo, descreve criação guiada do registro e monitoramento.	Mais um serviço para operar. Você aponta o rua para um endereço fornecido por ele, o que significa que outro domínio recebe os seus relatórios.

Se o rua aponta para uma caixa em outro domínio, a especificação do DMARC exige que esse domínio publique um registro de autorização em seudominio.com._report._dmarc.dominiodorelatorio.com. Os serviços de relatórios configuram isso do lado deles. Se você envia os relatórios para um segundo domínio seu, precisa publicar esse registro você mesmo. Caso contrário, os receptores podem descartar os relatórios sem avisar.

Como corrigir falhas de DMARC no e-mail

Comece pelo cabeçalho Authentication-Results de uma mensagem que falhou. Ele mostra qual verificação falhou e para qual domínio. A maioria das falhas vem de uma destas causas:

• Dois registros DMARC em _dmarc. A especificação do DMARC manda os receptores interromperem o processamento DMARC quando encontram mais de um, então na prática o seu domínio fica sem política. Junte tudo em um só.
• Erros de sintaxe. v=DMARC1 não está em primeiro, falta um ponto e vírgula ou o rua está sem mailto:. Os receptores ignoram um registro que não conseguem interpretar.
• DKIM assinado com o domínio do fornecedor. O valor d= no cabeçalho DKIM-Signature não é o seu domínio. Corrija adicionando o registro DKIM do fornecedor para o seu próprio domínio.
• SPF passa, mas não alinha. O Return-Path pertence ao serviço de envio. Garanta que o DKIM esteja alinhado, ou configure um domínio de bounce personalizado se o serviço oferecer essa opção.
• Encaminhamentos e listas de discussão. O encaminhamento quebra o SPF, e listas que reescrevem o assunto ou o rodapé quebram o DKIM. Essas falhas aparecem nos relatórios. Não são erros da sua configuração.
• Política endurecida cedo demais. Um remetente esquecido, como as notas fiscais da sua ferramenta de contabilidade, vai para a quarentena depois da mudança para p=quarantine. Volte para p=none, adicione SPF e DKIM desse remetente e endureça de novo.

O DMARC diz aos receptores como tratar o e-mail que falha. Ele não decide onde cai o e-mail que passa. Isso depende de como o servidor receptor enxerga o seu domínio e de como você envia, ou seja, da reputação do remetente: como ela é verificada, construída e corrigida é o próximo assunto depois do DMARC.

Onde o EmailFlow OS entra no seu registro DMARC

O EmailFlow OS é um produto de e-mail com vídeo personalizado por IA para cold outreach B2B. Você grava um vídeo, faz o upload no EmailFlow OS, conecta sua conta Brevo e seu domínio de envio e importa sua lista de prospects para o EmailFlow OS. Em seguida, o EmailFlow OS cria uma versão personalizada dessa única gravação para cada destinatário, não para cada empresa. Cada versão sai da sua própria caixa de entrada, pela sua própria conta Brevo e no seu próprio domínio de envio. Não existe remetente compartilhado da plataforma.

Para o DMARC, isso significa que o registro que vale é o que você publica em _dmarc no seu próprio domínio. A assinatura DKIM que você configurou no Brevo para esse domínio é a que precisa alinhar, e os relatórios agregados vão para o seu endereço rua. Nada nos passos de DMARC acima muda. Você faz a configuração uma vez, para o domínio que já controla. Como o envio funciona está descrito na página de outreach com vídeo personalizado do EmailFlow OS.

Perguntas frequentes

? Quanto tempo um registro DMARC leva para funcionar?

Ele funciona assim que os receptores conseguem resolvê-lo. A rapidez depende do TTL do registro e de respostas negativas que ainda estejam em cache nos resolvedores. Os primeiros relatórios agregados chegam depois, porque os receptores enviam resumos por intervalo de relatório, e não um relatório por mensagem. A tag opcional ri permite solicitar um intervalo, mas são os receptores que decidem com que frequência realmente enviam.

? p=none é uma política DMARC válida?

Sim. p=none é uma política válida na especificação do DMARC. Ela pede aos receptores que não apliquem nenhuma ação baseada em DMARC e que enviem relatórios. É o modo de monitoramento: você vê quem envia em nome do seu domínio, mas e-mails falsificados não vão para a quarentena nem são rejeitados por causa do DMARC. Use esse modo para encontrar todos os seus remetentes legítimos antes de passar para p=quarantine ou p=reject.

? Preciso de um registro DMARC separado para cada serviço de envio?

Não. Um domínio tem exatamente um registro DMARC, em _dmarc. Ele cobre todo serviço que envia com esse domínio no cabeçalho From. Cada serviço precisa do próprio include no SPF e da própria chave DKIM. Um segundo registro v=DMARC1 no mesmo host não amplia a cobertura. Ele faz os receptores interromperem o processamento DMARC para o domínio.

? Qual a diferença entre rua e ruf no DMARC?

O rua define para onde vão os relatórios agregados: resumos em XML por IP de envio, com contagem de mensagens e resultados de SPF, DKIM e DMARC. O ruf define para onde vão os relatórios de falha: cópias ou trechos de mensagens individuais que falharam. Os relatórios agregados são os que você usa para implantar o DMARC. Muitos grandes provedores de e-mail nem enviam relatórios de falha.